Données personnelles exposées : les habitudes avant le prochain phishing

Le réflexe à prendre quand un message connaît déjà votre nom

Le 5 octobre 2026, un lecteur nous a transmis un mail qui se présentait comme un message de sa banque. Le message annonçait une opération en attente. Le lecteur n'a pas cliqué. Il a ouvert son espace bancaire par le site habituel, sans passer par le lien du mail, puis il a constaté qu'aucune opération n'était en attente. C'est exactement le bon réflexe.

Ce signalement ne prouve pas, à lui seul, une campagne massive. Il montre surtout une situation devenue fréquente : un message frauduleux paraît plus crédible parce qu'il reprend un contexte familier, une marque connue, un montant précis ou une date récente. Quand des données personnelles ont circulé, l'escroc peut écrire un message qui ressemble à votre quotidien.

La CNIL explique qu'après une fuite ou un vol de données, un hameçonnage peut paraître réaliste parce qu'il utilise des informations récupérées. Cybermalveillance.gouv.fr rappelle aussi que le phishing cherche à pousser la victime à communiquer des données personnelles, des mots de passe ou des coordonnées bancaires. La bonne réponse n'est donc pas de paniquer. La bonne réponse est de changer quelques habitudes avant le prochain message.

Pourquoi une fuite de données rend le phishing plus crédible

Une fuite de données ne donne pas toujours accès à votre argent. Elle peut pourtant donner accès à des détails qui rendent un escroc convaincant : votre nom, votre adresse mail, votre numéro de téléphone, une adresse postale, un numéro client, le nom d'un service que vous utilisez, parfois une ancienne commande ou un bout de dossier. Ces informations suffisent à fabriquer une impression de sérieux.

La CNIL indique qu'un organisme doit vous informer dans les meilleurs délais quand une violation vous concerne et qu'elle peut présenter un risque. Le point pratique est donc simple : si vous recevez une notification officielle de fuite, gardez-la, mais ne cliquez pas depuis un autre message qui prétend vous aider à vérifier.

Le phishing moderne joue sur cette zone grise. Il ne dit pas toujours « donnez-moi votre carte bancaire ». Il dit plutôt : votre compte doit être sécurisé, votre colis est bloqué, votre abonnement est confirmé, votre paiement est en attente, votre dossier fiscal doit être consulté. C'est précisément là qu'il faut ralentir.

Première habitude : ne jamais vérifier depuis le message reçu

Le meilleur réflexe tient en une règle : si un message vous inquiète, vous sortez du message. Vous n'utilisez pas son lien. Vous n'appelez pas son numéro. Vous n'ouvrez pas sa pièce jointe pour comprendre. Vous passez par un canal que vous aviez déjà avant de recevoir l'alerte.

Pour une banque, ouvrez l'application installée avant le message ou tapez vous-même l'adresse du site. Pour une administration, tapez l'adresse officielle dans le navigateur. Pour un colis, ouvrez le suivi depuis le compte client déjà connu. Pour un fournisseur, utilisez le numéro figurant sur une facture précédente ou sur le site officiel, pas celui contenu dans le mail.

Cybermalveillance.gouv.fr donne le même conseil : en cas de doute, il faut contacter directement l'organisme concerné pour confirmer le message ou l'appel. Tant que vous restez dans son mail, son SMS ou son appel, il décide du rythme. Dès que vous vérifiez ailleurs, il perd cet avantage.

Deuxième habitude : traiter les détails exacts comme des appâts

Un message peut contenir votre vrai nom et rester faux. Il peut afficher le nom de votre banque et rester faux. Il peut citer une ville, un montant, une livraison ou un fournisseur réel et rester faux. Ce n'est pas parce qu'une information est exacte que la demande qui suit est légitime.

Dans nos signalements récents, nous voyons régulièrement des messages qui mélangent un élément plausible avec une consigne dangereuse. Le 5 octobre, un lecteur a reçu un mail bancaire suspect et n'a rien trouvé dans son vrai espace client. Le 3 octobre, un autre signalement décrivait une fausse confirmation de paiement Amazon avec un montant de 1 730 euros et un numéro à appeler présenté comme lié à la répression des fraudes. Ces exemples sont internes, datés, et ils ne doivent pas être généralisés au-delà de ce qu'ils montrent : l'escroc fabrique une urgence à partir d'un décor familier.

La bonne question n'est donc pas « comment connaît-il cette information ? ». La bonne question est : « que me demande-t-il de faire maintenant ? ». Si la suite consiste à cliquer, appeler un numéro fourni dans le message, transmettre un code, payer, changer un RIB ou envoyer une pièce d'identité, considérez la demande comme non vérifiée.

Troisième habitude : séparer réception, vérification et action

Beaucoup d'arnaques réussissent parce que tout se passe dans la même minute. Vous recevez le message, vous cliquez, vous répondez, vous payez ou vous donnez un code. Il faut casser cette chaîne. La règle consiste à séparer trois moments : recevoir, vérifier, agir.

Recevoir, c'est lire sans obéir. Vérifier, c'est ouvrir un autre canal, consulter le vrai compte ou appeler un numéro déjà connu. Agir, c'est seulement après, si la vérification confirme qu'il y a vraiment quelque chose à faire.

Cette séparation protège surtout quand le message semble personnalisé. Plus le message vous paraît précis, plus il faut éviter l'action immédiate. Une vraie banque, une vraie administration ou un vrai fournisseur peut attendre quelques minutes pendant que vous vérifiez.

Quatrième habitude : préparer vos comptes avant l'attaque

Une fois le phishing reçu, vous êtes déjà sous pression. Le meilleur moment pour protéger vos comptes est donc avant le message. Commencez par les comptes les plus importants : messagerie principale, banque, impôts, sécurité sociale, opérateur mobile, compte cloud, réseaux sociaux, plateformes de paiement.

Utilisez un mot de passe différent pour chaque compte important. Cybermalveillance.gouv.fr conseille des mots de passe différents et complexes afin d'éviter qu'un mot de passe volé compromette plusieurs comptes. Un gestionnaire de mots de passe peut aider, car il évite de réutiliser la même formule partout.

Activez aussi la double authentification quand le service le propose. L'ANSSI explique que l'authentification multifacteur repose sur plusieurs facteurs appartenant à des catégories différentes. En pratique, cela signifie qu'un mot de passe volé ne suffit pas toujours à entrer. Ce n'est pas une protection magique. Un faux conseiller peut encore tenter de vous faire valider une action. Mais c'est une barrière utile contre de nombreux accès non autorisés.

Les signaux qui doivent vous faire ralentir

Un phishing bien fait ne contient pas toujours de faute visible. Il faut donc regarder la demande, pas seulement l'orthographe. Voici les signaux les plus utiles à mémoriser :

• Le message demande une action immédiate : payer, confirmer, rappeler, télécharger ou transmettre un code.
• Le lien ne correspond pas exactement au service attendu : un mot ajouté, un caractère différent ou un domaine inhabituel suffit à tromper.
• Le numéro de téléphone est fourni dans l'alerte : vérifiez avec un numéro déjà connu, pas avec celui que l'alerte impose.
• Le message mélange peur et précision : montant exact, faux appareil connecté, fausse commande, puis menace de débit.
• La demande porte sur un code de validation : un code reçu par SMS ou notification ne doit jamais être communiqué à un interlocuteur.
• Le message prétend corriger une fuite de données : ne vérifiez jamais votre exposition depuis un lien reçu après l'annonce d'une fuite.

Un seul de ces signaux suffit à faire une pause. Vous n'avez pas besoin de prouver que le message est faux avant de ralentir. Vous avez seulement besoin de vérifier ailleurs.

Si vous avez déjà cliqué ou transmis des informations

Commencez par ce qui peut encore être bloqué. Si vous avez donné des coordonnées bancaires, appelez votre banque immédiatement et demandez les mesures adaptées : opposition, surveillance, contestation d'opérations, blocage d'un moyen de paiement. Si vous avez donné un mot de passe, changez-le depuis le vrai site et changez aussi ce mot de passe sur tous les comptes où vous l'auriez réutilisé.

Si vous avez communiqué un code reçu par SMS, dites-le clairement à votre banque ou au service concerné. Ne minimisez pas. Si votre messagerie a été touchée, vérifiez les règles de transfert, les appareils connectés et les méthodes de récupération.

Gardez les preuves : message reçu, adresse d'expédition, lien, numéro de téléphone, captures, heure, montant, échanges et preuve de paiement. Même si vous avez honte, ne supprimez pas la conversation. Ce n'est pas votre faute. Les escrocs construisent leurs messages pour déclencher un geste rapide. Votre priorité est maintenant de limiter les dégâts et de garder une chronologie claire.

Où signaler sans se tromper de canal

Pour un SMS frauduleux ou indésirable, le 33700 est le bon réflexe. La plateforme officielle recommande de ne pas faire ce qui est demandé dans le message suspect. Vous pouvez signaler le SMS afin qu'il soit traité par les acteurs concernés.

Pour une arnaque commise sur internet, Service-Public oriente vers THESEE quand les conditions du service en ligne sont réunies. Si vous ne savez pas par où commencer, 17Cyber est un service public d'assistance en ligne proposé par la Police nationale, la Gendarmerie nationale et Cybermalveillance.gouv.fr. Il sert à identifier le problème et à obtenir une orientation.

SignalConso est utile quand vous avez un problème de consommation avec une entreprise identifiée : achat en ligne, livraison, garantie, pratiques commerciales, démarchage. Ce n'est pas toujours le bon outil pour une escroquerie pure, mais il peut être pertinent quand un professionnel existe et qu'un litige de consommation doit être signalé.

La phrase à garder en tête après une fuite de données

Après une fuite de données, vous ne pouvez pas effacer ce qui a déjà circulé. Vous pouvez en revanche empêcher ces informations de décider à votre place. La phrase à garder est simple : un détail exact ne valide jamais une demande.

Si un message connaît votre nom, vous vérifiez ailleurs. S'il cite une commande, vous ouvrez le vrai compte. S'il annonce un débit, vous consultez votre banque par l'application ou le numéro habituel. S'il propose de sécuriser votre compte, vous ne passez pas par son lien. S'il demande un code, vous ne le donnez pas.

Ces habitudes ne rendent pas la vie plus compliquée. Elles créent une distance entre l'émotion et l'action. C'est cette distance qui protège. Les escrocs cherchent la minute où vous réagissez trop vite. Votre réponse consiste à reprendre cette minute, puis à vérifier par un canal que vous contrôlez.